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(57) Abstract: The invention relates to 
a peripheral component with high error 
protection for stored programmable controls. 
The invention relates particularly to an 
analog-input circuit with at least two channels 
substantially identical in design, for parallel 
signal input and/or output, which are parallel 
connected and/or parallel connectable in 
the region of the peripheral interface. Said 
analog-input circuit also comprises at least 
one data processing component (JJ.P or 
p,C) for testing the channels without any 
disruption of the data flows. 

(57) Zusammenfassung: Die Erfindung 
richtet sich auf einen Peripheriebaustein 
von hoher Fehlersicherheit fur speicherpro- 
grammierbare Steuerungen, insbesondere 
Analogeingabe-Schaltung, mit wenigstens 
zwei weitgehend identisch aufgebauten 
Kanalen zur parallelen Signalein- und/oder 
-ausgabe, die im Bereich der Periphe- 
rieschnittstelle parallelgeschalten und/oder 
parallelschaltbar sind, und mit wenigstens 
einer Datenverarbeitungs-Baugruppe (jiP 
oder nC) zum Testen der Kanale ohne 
Unterbrechung des Datenflusses. 
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Beschreibung 

Peripheriebaustein mit hoher Fehlersicherheit fur speicher- 
programmierbare Steuerungen 

5 

Die Erfindung richtet sich auf einen Peripheriebaustein mit 
hoher Fehlersicherheit fur speicherprogrammierbare Steuerun- 
gen, insbesondere eine Analogeingabe-Schaltung. 

10 Wenn in standig steigendem Umfang industrielle und sonstige, 
technisch komplizierte Anlage durch Einsatz speicherprogram- 
mierbarer Steuerungen automatisiert werden, so stand hierbei 
ursprunglich wohl der Gedanke der Obertragung einfacher Ta- 
. tigkeiten Pate wie bspw. die Aktivierung verschiedener Bear- 

15 beitungsschritte eines seriellen Bearbeitungsprozesses, sowie 
einfache Regelungen, z. B. Fiillstandsregelungen oder Tempera- 
turregelungen. Durch den Aufbau von Regelkreisen war eine 
Ruckkoppelung von Prozesssignalen erfolgt, und diese Tendenz 
fuhrte schliefilich zur Obertragung weitreichender Uberwa- 

20 chungsaufgaben auf speicherprogrammierbare Steuerungen. Hier- 
bei stellt sich jedoch heraus, dass bei der Delegierung der- 
artiger Aufgaben von einer Uberwachungsperson auf einen Auto- 
maten eine fiir Uberwachungsauf gaben wichtige, menschliche Ei- 
genschaft von grofiter Bedeutung ist, namlich die Verantwor- 

25 tung, bei dem Betrieb einer Anlage das Auftreten von Unfallen 
und sonstigen Schaden moglichst zu vermeiden sowie eine 
hochstmogliche Sicherheit fur Menschen, Maschinen und Umwelt 
zu gewahrleisten. Die regelmaliig wiederkehrenden Berichte 
ttber das Entweichen von Giftgasen aus Anlagen der chemischen 

30 Industrie sowie die unzahligen Gefahren, welche als Folge des 
Einsatzes grolier Energiemengen in den vielf altigsten Anlagen 
der Rohstof findustrie, Energieerzeugung, Fordertechnik, Um- 
formtechnik und der automatisierten Fertigung lauern, mussen 
hierbei als Ansporn dafur gesehen werden, die Anlagensicher- 

35 heit weiter zu erhohen. 
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Hierbei kann eine Fehlf unktion einzelner Anlagenteile wohl 
niemals ausgeschlossen werden, und es muss deshalb die Aufga- 
be einer automatischen Steuerung sein, derartige Fehlf unktio- 
nen zu erkennen und schnellstmoglich Gegenmafinahmen einzulei- 
5 ten bzw. die Anlage stillzusetzen oder einen Alarm auszulo- 
sen. Diese Aufgabe kann sie jedoch nur erfullen, wenn sicher- 
gestellt ist, dass sie auch und gerade beim Auftreten von 
Fehlf unktionen in der Anlage selbst einwandfrei f unktioniert . 
Obwohl der millionenf ache Einsatz von Mikroelektronik in Arm- 

10 banduhren, Haushaltsgeraten, Flug- und Fahrzeugen erkennen 
lasst, dass die groBte Gefahr beim Betrieb eines elektroni- 
schen Schaltkreises wohl der Ausfall der Versorgungsspannung 
ist, insbesondere das Nachlassen einer Batteriespannung, so 
darf doch nicht aufier acht gelassen werden, dass in indus- 

15 triellen Anlagen ein rauer Betrieb herrscht und nur selten 

eine von Dampfen, Gasen und sonstigen Chemikalien vollig rei- 
ne Atmosphare vorausgesetzt werden kann. Daher sollten gerade 
bei kritischen Prozessen, bei welchen eine Fehlfunktion mog- 
lichst nicht auftreten sollte, zusatzliche Maiinahmen getrof- 

20 fen werden, urn die Funktionssicherheit der Steuereinrichtung 
weiter zu erhdhen. 

Bei der Behandlung dieses Problems sollte man sich den Aufbau 
einer speicherprogrammierbaren Steuerung vergegenwartigen: Urn 

25 eine optimale Anpassung an die unterschiedlichsten Anwen- 

dungsfalle zu ermoglichen, hat sich hierbei in der Praxis ein 
modularer Aufbau durchgesetzt, wobei der Kern der speicher- 
programmierbaren Steuerung durch eine Zentraleinheit gebildet 
wird, in der ein fur den betreffenden Anwendungsf all spezifi- 

30 sches Programm abgearbeitet wird. Die Schnittstellen zu den 

einzelnen Aktuatoren des betreffenden Prozesses wie auch aus- 
gegliederte Unterf unktionen wie bspw. Regelungen sind dagegen 
in davon getrennten Modulen enthalten, welche ublicherweise 
allesamt an eine Kommunikationsleitung bspw. in Form eines 

35 seriellen Busses angekoppelt sind, damit ein Inf ormationsaus- 
tausch zwischen den verschiedenen Komponenten moglich ist. 
Solchenfalls kann ein Fehler theoretisch in alien Komponenten 
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auftreten, d. h. sowohl in der Zentraleinheit wie auch in den 
angeschlossenen Komponenten, und auch auf der diese miteinan- 
der verbindenden Kommunikationsleitung. 

5 Wahrend die ersten beiden Fehlerquellen bei kritischen Pro- 
zessen durch eine Erhohung der Verfugbarkeit bspw. durch Ein- 
satz einer zweiten, parallel geschalteten Zentraleinheit 
und/oder eines zweiten, parallel betriebenen Kommunikations- 
busses, ausgeschaltet oder auf ein aufierst minimales Restri- 

10 siko reduziert werden konnen, so ware eine Verdoppelung aller 
sonstigen Komponenten in den meisten Anwendungs fallen mit ei- 
nem erheblichen Zusatzaufwand verbunden und wurde dariiber 
hinaus aufgrund der enormen Vergrolierung der Komplexitat eher 
sogar die Gefahr von zusatzlichen Fehlerquellen infolge von 

15 Verdrahtungs- oder Einstellungsf ehlern mit sich bringen. Au- 
fterdem wurde solchenfalls der Inf ormationsaustausch uber die 
betreffende Kommunikationsleitung mindestens verdoppelt, was 
eine weitere Leistungssteigerung der Steuerung erforderlich 
machte. Dabei ist zu bedenken, dass andererseits gerade den 

20 Peripheriebausteinen als Schnittstelle zwischen dem Prozess 
und der Steuerung eine erhohte Bedeutung beizumessen ist, da 
beim Ausfall einer derartigen Kbmponente moglicherweise ent- 
scheidungswichtige Signale verloren gehen oder die Einfluss- 
nahme der Steuerung auf den Prozess eingeschrankt oder gar 

25 unterbrochen wird. 

Aus den Nachteilen des beschriebenen Stands der Technik re- 
sultiert das die Erfindung initiierende Problem, einen Peri- 
pheriebaustein fur speicherprogrammierbaren Steuerungen zu 
30 schaffen, der bereits fur sich genommen eine erhohte Fehler- 
sicherheit aufweist, so dass eine hohe Fehlerauf deckung auch 
ohne die Verwendung einer redundanten Komponente erreicht 
werden kann. 

35 Die Losung dieses Problems gelingt mittels wenigstens zweier 
weitgehend identisch aufgebauter Kanale zur parallelen Sig- 
nalein- und/oder -ausgabe, die im Bereich der Peripherie- 
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schnittstelle parallelgeschalten und/ocier parallelschaltbar 
sind, und durch wenigstens eine Datenverarbeitungs-Baugruppe 
(|iP oder (iC) zum Testen der Kanale ohne Unterbrechung des Da- 
tenf lusses. 

5 

Der von der Erfindung beschrittene Weg zeichnet sich durch 
eine Mehrzahl von Maflnahmen aus: Einerseits wird bereits in- 
nerhalb des erf indungsgemaflen Peripheriebausteins ein zweiter 
Kanal vorgesehen, so dass bereits intern eine Redundanz ge- 

10 schaffen wird. Daruber hinaus ist eine Datenverarbeitungs- 
Baugruppe vorgesehen, welche parallel zu dem ublichen Daten- 
fluss permanent oder zumindest in kurzen Zeitabstanden einen 
Test eines oder beider Kanale durchfuhrt, wodurch sowohl die 
Kommunikationsleitung zu der Zentraleinheit wie auch letztere 

15 von dieser Aufgabe entlastet wird. Sobald andererseits eine 
Fehlfunktion eines oder beider Kanale erkannt worden ist, so 
kann die den Test durchf uhrende Datenverarbeitungs-Baugruppe 
dies unverziiglich der Zentraleinheit melden, damit solchen- 
falls unverziiglich eine Gegenmafinahme eingeleitet werden 

20 kann, bevor in der Anlage selbst eine Fehlfunktion auftreten 
kann. Dadurch ist sichergestellt, dass bei Eintritt eines 
Fehlerfalls in der Anlage stets zumindest ein Kanal der er- 
f indungsgemafien Peripheriebaugruppe intakt ist, so dass ein 
Informationsaustausch zwischen Anlage und Steuerung gewahr- 

25 leistet ist. 

Die Erfindung zeichnet sich weiterhin aus durch eine zweite 
Datenverarbeitungs-Baugruppe (p,P oder ^iC) zum Aufbereiten der 
zu ubertragenden Daten wahrend einer Testphase. Einerseits 

30 wird durch diese zweite Datenverarbeitungs-Baugruppe bei Aus- 
fall der ersten Datenverarbeitungs-Baugruppe eine Redundanz 
geschaffen, andererseits kann solchenfalls eine Datenaufbe- 
reitung auch in dem den Datenfluss ubernehmenden Kanal vorge- 
nommen werden, wobei bspw. bei Ausfall eines zu erwartenden 

35 Eingangssignals eine Fehlermeldung ausgelost werden kann, au- 
lierdem kann das Datenformat in eine fur die Kommunikation mit 
der Zentralbaugruppe oder fur die Kommunikation mit der den 



WO 01/88711 



PCT/DE01/01885 



5 

Test durchfiihrenden Datenverarbeitungs-Baugruppe umgesetzt 
werden. 

Es hat sich als gunstig erwiesen, dass jede der beiden Daten- 
5 verarbeitungs-Baugruppen je einem Kanal zugeordnet ist und 
derart ausgebildet ist, dass sie sowohl die Signalaufberei- 
tung wie auch den Test dieses Kanals ubernehmen kann. Die 
feste Zuordnung der beiden Datenverarbeitungs-Baugruppen zu 
je einem Kanal bringt eine schaltungsmaliige Vereinf achung mit 
10 sich, indem zwischen der betreffenden Kanalbaugruppe und der 
zugeordneten Datenverarbeitungs-Baugruppe kein weiteres 
Schaltelement vorgesehen werden muss, welches somit als Feh- 
lerquelle ausscheidet . 

15 Es liegt im Rahmen der Erfindung, dass die beiden Datenverar- 
beitungs-Baugruppen zwecks Inf.ormationsaustausch miteinander 
gekoppelt sind. Diese Koppelung ist einerseits fur eine Koor- 
dination des Betriebs der beiden Kanalbaugruppen wichtig, da- 
mit stets mindestens auf einem Kanal ein ordnungsgemafier Da- 

20 tenfluss erfolgt, andererseits konnen bspw. Testergebnisse 
ausgetauscht werden, so dass jede der beiden Datenverarbei- 
tungs-Baugruppen immer uber den Zustand beider Kanale infor- 
miert ist und nicht nur ihren eigenen Betrieb danach ausrich- 
ten kann, sondern auf Anfrage einer Zentraleinheit auch so- 

25 fort die gewunschten Auskunfte erteilen kann. 

Die Erfindung lasst sich dahingehend weiterbilden, dass die 
beiden Datenverarbeitungs-Baugruppen uber bausteininterne 
Verbindungen miteinander gekoppelt sind. Diese Malinahme redu- 
30 ziert den Signalverkehr auf der Verbindungsleitung zwischen 

den einzelnen Komponenten der speicherprogrammierbaren Steue- 
rung. 

Weitere Vorteile lassen sich dadurch erzielen, dass die bei- 
35 den Datenverarbeitungs-Baugruppen uber einen Speicher gekop- 
pelt sind, auf den sie beide Zugriff haben. In diesem gemein- 
samen Speicher konnen die Datenverarbeitungs-Baugruppen die 
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fur die jeweils andere Baugruppe bestimmten Inf ormationen 
hinterlegen, von wo sie sodann zu gegebenem Zeitpunkt, d. h. 
bei Bedarf, abgeholt werden konnen. Hierdurch werden unnotige 
Wartezeiten einer Datenverarbeitungs-Baugruppe vermieden. 

5 

In Ausgestaltung des Erf indungsgedankens kann vorgesehen 
sein, dass die beiden Datenverarbeitungs-Baugruppen an unter- 
schiedlichen Ein-/Ausgangen des Speichers angeschlossen sind 
(Dual-Port-RAM) . Solchenf alls ist die Kommunikation jeder der 

10 beiden Datenverarbeitungs-Baugruppen mit dem geme ins amen 

Speicher vollig unabhangig von dem Betrieb der jeweils ande- 
ren Baugruppe und insbesondere von deren Taktung. Somit las- 
sen sich fur jeden der beiden Datenverarbeitungs-Baugruppen 
weitgehend autarke Systeme schaffen, wodurch der reibungslose 

15 Betrieb zumindest eines Signals auch dann gewahrleistet wer- 
den kann, wenn in der anderen Kanalbaugruppe und/oder der 
diese bedienenden Datenverarbeitungs-Baugruppe ein Fehler 
eingetreten ist. 

20 Die Leistungsf ahigkeit der erf indungsgemafien Anordnung lasst 
sich erhdhen, indem bei einem Zweikanal-Eingabe-Baustein ein 
zusatzlicher Ausgabekanal, bei einem Zweikanal-Ausgabe- 
Baustein ein zusatzlicher Einlesekanal vorgesehen ist, der 
mit jedem der beiden iibrigen Kanale koppelbar ist, urn eine 

25 Schleife uber jeweils einen der beiden parallelen Kanale zu 
bilden, so dass die ordnungsgemaJie Verarbeitung eines Test- 
signals uberprufbar ist. Wahrend ohne eine derartige Anord- 
nung allenfalls ein Test durch Vergleich der von beiden Ka- 
nalbaugruppen ausgegebenen Signale moglich ist, so kann durch 

30 einen hierzu komplementaren Testkanal eine Schleife iiber je- 
weils eine der beiden Kanalbaugruppen geschlossen werden, und 
somit ist ein echter Test auf die absolute Genauigkeit der 
gesamten Komponenten dieser Schleife durch Vergleich des Ein- 
gangssignals dieser Schleife mit deren Ausgangssignal mog- 

35 lich. Sobald demnach ein Fehler auftritt, bei welchem eine 

Kanalbaugruppe nicht mehr ordnungsgemafi f unktioniert, so kann 
mit einem derartigen Testaufbau eindeutig festgestellt wer- 
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den, welche von beiden Kanalbaugruppen den Defekt aufweist, 
und sodann kann der Datenfluss uber die noch intakte Kanal- 
baugruppe geleitet werden, bis die fehlerhafte Kanalbaugruppe 
ausgetauscht oder repariert worden ist. Mit der erf indungsge- 
5 malien Anordnung wird daher nicht nur ein Fehler sensiert, 
sondern dieser kann auch eindeutig lokalisiert werden, und 
solange noch eine einzige Kanalbaugruppe funktioniert, so 
kann der erf indungsgemalie Peripheriebaustein seine Aufgabe 
erfiillen. 

10 

Zur Vereinfachung des konstruktiven Aufwandes kann die An- 
steuerung des Testkanals einer der beiden Datenverarbeitungs- 
Baugruppen ubertragen sein. Zwar ware es zur weiteren Erho- 
hung der Redundanz denkbar, die Steuerung der Testkanalbau- 

15 gruppe beiden Datenverarbeitungs-Baugruppen zu erschlieJien . 

Dies erweist sich jedoch nicht als notwendig, da beim Ausfall 
einer Kanalbaugruppe ohnehin kein Test mehr durchgefuhrt wer- 
den kann, weil solchenfalls der normale Datenfluss unterbro- 
chen werden musste. Aus diesem Grund kann die Ansteuerung der 

20 Testkanalbaugruppe- fest einer von beiden Datenverarbeitungs- 
Baugruppen zugewiesen sein, so dass ein zusatzlicher Schalter 
sowie auch zwischengeschaltete ODER-Gatter od. dgl. entbehr- 
lich sind und die Ausf allwahrscheinlichkeit weiter reduziert 
wird. 

25 

Oberf lussige Fehlerquellen lassen sich vermeiden, indem die 
beiden Kanale auf der selben Platine angeordnet sind, Diese 
Konstruktionsvorschrift folgt der Erkenntnis, dass jeder 
Steckverbinder, und insbesondere auch jede Kabelverbindung 
30 eine hohere Ausf allwahrscheinlichkeit hat als eine Leiterbahn 
auf einer Platine, wo allenfalls eine schlechte Lotverbindung 
zu einem Defekt fuhren konnte. 

Dem selben Zweck dient eine Weiterbildung dahingehend, dass 
35 wenigstens ein Datenverarbeitungs-Baustein zusammen mit den 
beiden Kanalen auf der selben Platine angeordnet ist. Auch 
diese Mafinahme reduziert die Anzahl der Steck- und Lotverbin- 
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dungen und erhoht somit die Betriebssicherheit des erfin- 
dungsgemaften Peripheriebausteins . 

Damit eingestreute Storspannungen von der Auswerteelektronik 
5 ferngehalten werden, sind in beiden Kanalen, vorzugsweise 

auch in einem Testkanal, Potentialtrennungen vorgesehen. Die- 
sen Potentialtrennungen obliegt es, den reinen Inf ormations- 
wert eines Signals von dessen tatsachlichen Spannungspotenti- 
al vollstandig abzutrennen, so dass gefahrliche Storspannun- 
10 gen, welche von dem Prozess herriihren oder auf den betreffen- 
den Zuleitungen eingestreut werden konnen, der empf indlichen 
Mikroelektronik nichts anhaben konnen. Dies kann am effek- 
tivsten durch Opto-Koppler realisiert werden, welche die Po- 
tentialfreiheit bei der Lichtubertragung nutzt. 

15 

Der konstruktive Aufwand lasst sich weiter reduzieren, wenn 
eine Signalumsetzung zwischen analogen Strom- oder Spannungs- 
pegeln einerseits und einem alternierenden Signal (Impulsfol- 
ge) mit einer zu dem Analogsignal proportionalen Frequenz an- 

20 dererseits erfolgt. Wahrend die Datenverarbeitungs-Baugruppen 
schliefilich eine Reihenfolge binarer Zahlendarstellungen der 
betreffenden Amplitude des Analogsignals verwenden, bietet 
die Zwischenschaltung eines alternierenden Signals mit veran- 
derbarer Frequenz den Vorteil, dass die vollstandige Informa- 

25 tion liber den Amplitudenwert auf einer einzigen Signalleitung 
iibertragen werden kann, wobei andererseits eine wenig storan- 
fallige Analogschaltung Verwendung finden kann. 

Solchenfalls ist es moglich, die Potentialtrennung bei dem 
30 alternierenden Signal vorzunehmen, bspw. iiber Optokoppler. Da 
in diesem alternierenden Signal der voile Inf ormationsgehalt 
iiber 'die zu ubertragende Signalamplitude enthalten ist, bie- 
tet es sich fur die Potentialtrennung bevorzugt an. Einer- 
seits wird dadurch ein erhohter Aufwand fur die Potential- 
35 trennung eingespart, wie dies bspw. bei einem binaren Signal 
der Fall ware, andererseits kann die Potentialtrennung bei 
einem zwischen zwei Spannungsbereichen alternierenden Signal, 
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dessen exakte Amplitude keine Information tragt, weitaus ein- 
facher gestaltet werden als bei einem reinen Analogsignal, wo 
die Information der betreffenden Spannungsamplitude ent- 
spricht . 

5 

Zur Entschliisselung des alternierenden Signals kann dieses 
einem Zahlerbaustein zugeftihrt sein, der durch Zahlen der Im- 
pulse innerhalb eines festen Zeitintervalls einen zu der Fre- 
quenz des alternierenden Signals proportionalen Digitalwert 

10 erzeugt. Hierbei handelt es sich urn einen hochst einfachen 
Aufbau, wobei ausschliefilich nach Ablauf eines fest vorgege- 
benen Zeitintervalls der Zahlerstand abgefragt und sodann der 
Zahler wieder auf null zuruckgesetzt werden muss. Die Auf 16- 
sung, Velche mit dieser Signalumsetzung erreicht werden kann, 

15 hangt ab von dem Zahlintervall einerseits und der Frequenz 
des alternierenden Signals andererseits . Urn im Rahmen dieses 
Verfahrens auch Spannungen der Amplitude null oder gar nega- 
tive Spannungen mit einer ausreichenden Auflosung ubertragen 
zu kdnnen, sollte das relevante Spannungsintervall auf einen 

20 Frequenzbereich transf ormiert werden, der sich von einer der 
minimalen Spannungsamplitude entsprech'enden Mindestf requenz 
nach oben erstreckt. 

Bei umgekehrter Signalrichtung sollte das alternierende Sig- 
25 nal einem Baustein mit einem sequentiellen Ausgang entnommen 
• werden, bspw. einem Schieberegister, welches in einem vorge- 
gebenen Zeitintervall eine vorgebbare Anzahl von Ausgangsbits 
abgibt. Die Moglichkeiten zur Erzeugung des alternierenden 
Signals sind vielfaltig. Da die Aufteilung der einzelnen Im- 
30 pulse auf das betreffende Zeitintervall nicht gleichformig 

erfolgen muss, konnten bspw. von der Taktf requenz abgeleitete 
Impulse ausgegeben werden, wobei gleichzeitig eine Zahlung 
erfolgen konnte, urn das aktuelle Zahlergebnis mittels eines 
Komparators mit dem vorgegebenen Wert zu vergleichen und nach 
35 Erreichen desselben die Ubertragung weiterer Impulse zu un- 
terdrucken. Eine andere Moglichkeit besteht darin, die 
betreffende Anzahl von Impulsen in ein Schieberegister zu 
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schreiben und dessen Inhalt sodann innerhalb des vorgegebenen 
Zeitintervalls seriell an die betreffende Kanalbaugruppe aus- 
zugeben. 

5 Zum Betrieb einer erf indungsgemafien Anordnung sieht die Er- 
findung vor, dass stets ein Kanal zur Signalubertragung ver- 
wendet wird, wahrend der andere zu Test- und/oder Korrektur- 
zwecken betrieben wird. Solchenfalls kann der Test fur die 
Zentraleinheit der betref f enden, speicherprograrnmierbaren 

10 Steuerung vollig unsichtbar erfolgen, d. h., diese wird stets 
und weitgehend verzogerungsf rei mit den fur sie notwendigen 
Informationen belief ert bzw. darf darauf vertrauen, dass von 
ihr in Richtung der Anlage abgegebene Signale dort auch nahe- 
zu unverzogert eintreffen, sofern kein Totalausfall der 

15 betref f enden Peripheriebaugruppe erfolgt. 

Ein Komponententest kann dadurch vorgenommen werden, dass die 
Ausgangssignale der beiden Kanale voneinander subtrahiert 
werden, wobei das Subtraktionsergebnis mit wenigstens einem 

20 vorgegebenen Grenzwert verglichen wird, urn bei einer grolieren 
Abweichung einen Fehler zu erkennen. Dieser Modus kann ver- 
wendet werden, urn einen auftretenden Fehler einer Kanalbau- 
gruppe sofort zu erkennen, da solchenfalls eine von null er- 
heblich abweichende Differenz auftritt. Dabei kann dieser 

25 Vergleich sowohl bei einer Eingangs- wie auch bei einer Aus- 
gangsbaugruppe vorgenommen werden, wenn bei dem Ausgang bspw. 
eine entsprechende Analogschaltung vorgesehen ist mit einem 
als Subtrahierer verschalteten Operationsverstarker, ggf . ei- 
nem Absolutwertbildner und einem Komparator zum Vergleich der 

30 absoluten Differenz mit einem vorgegebenen und noch tolerier- 
baren Grenzwert. Die Ruckmeldung dieser Testbaugruppe kann 
mittels eines einzigen Signals, bspw. des Ausgangssignals des 
Komparators erfolgen, so dass sich auch hier eine Potential- 
trennung mit einfachsten Mitteln erreichen lasst. 

35 

Im Rahmen eines anderen Testmodus wird ein Kanal zur Signal- 
ubertragung verwendet und der andere wahrenddessen einem Test 
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unterzogen, indem ein Testsignal ausgegeben und wieder einge- 
lesen wird, wobei der ausgegebene und der eingelesene Signal- 
wert voneinander subtrahiert werden, und wobei schlieftlich 
das Subtraktionsergebnis mit wenigstens einem vorgegebenen 
5 Grenzwert verglichen wird, urn bei einer groiieren Abweichung 
einen Fehler zu erkennen. Wahrend durch den Parallelbetrieb 
beider Kanale und Vergleich von deren Ausgangssignalen fest- 
gestellt werden kann, ob bei einem dieser beiden Kanale uber- 
haupt ein Fehler aufgetreten ist, kann mit dem letzteren 

10 Testschritt sogar ermittelt werden, welcher von beiden Kana- 
len defekt ist. Dies wird erreicht, indem der zu untersuchen- 
de Kanal als Bestandteil einer Signalubertragungsschleif e ge- 
schalten wird, und durch Vergleich des Ausgangssignals dieser 
Schleife mit ihrem Eingangssignal lasst' sich bei einer er- 

15 kennbaren Abweichung eine Fehlfunktion der betreffenden Ka- 
nalbaugruppe diagnostizieren. Solchenfalls kann selektiv die- 
ser abgeschalten und sodann voriibergehend nur mit dem 
verbleibenden Kanal gearbeitet werden, bis infolge eines 
durch die Fehlermeldung ausgelosten Alarms der Defekt behoben 

20 worden ist. 

Urn einen eingetretenen Fehler fruhzeitig erkennen zu konnen, 
sollte der Testmodus in kurzen Zeitabstanden wiederholt wer- 
den, wobei jeweils zunachst ein Kanal und sodann der andere 

25 getestet wird und der jeweils andere wahrenddem die Signal- 
ubertragung ubernimmt. In dem aufierst unwahrscheinlichen 
Fall, dass gleichzeitig beide Kanalbaugruppen beschadigt wer- 
den, liefie sich durch einen Vergleich der Ausgangssignale 
moglicherweise kein Fehler feststellen, wenn bspw. beide Aus- 

30 gangssignale gleichzeitig spannungslos werden. Dieser Fall 

kann jedoch durch regelmafiig durchzuf iihrende Tests der abso- 
luten Funktionsfahigkeit der Kanalbaugruppen ausgeschlossen 
bzw. erkannt werden. Deshalb sollte in kurzen Zeitabstanden 
zumindest eine der beiden Kanalbaugruppen auf ihre absolute 

35 Funktionsfahigkeit hin untersucht werden. Da der gleichzeiti- 
ge Ausfall beider Kanalbaugruppen ein extrem seltenes Ereig- 
nis bildet, konnen diese absoluten Funktionstests in langeren 
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Zeitintervallen durchgefiihrt werden, bspw. etwa einmal pro 
Sekunde. Sofern wahrend des Normalbetriebs kein Vergleich der 
parallelgeschalteten Kanalbaugruppen vorgenommen wird, sollte 
in entsprechend kurzen Zeitabstanden der Datenfluss zwischen 
5 den beiden Kanalbaugruppen umgeschalten und wahrenddessen je- 
weils wenigstens ein Test der solange nicht benotigten Kanal- 
baugruppe durchgefiihrt werden. 

Optimale Ergebnisse lassen sich erzielen, wenn ein Datenver- 
10 arbeitungs-Baustein die Auswertung der Testergebnisse (Ver- 
gleich der Ausgangssignale beider Kanale bzw. des eingelese- 
nen mit dem ausgegebenen Testergebnis) ubernimmt. Wahrend des 
ordnungsgemafien Betriebes kann der Vergleich der Ausgangssig- 
nale beider, parallel betriebener Kanalbaugruppen stets in 
15 demselben Datenverarbeitungs-Baustein durchgefiihrt werden; 

diesem kann fur die abwechselnd durchzuf iihrenden Absolutwert- 
Tests auch die Steuerung der Testkanalbaugruppe sowie der 
Vergleich zwischen dem Eingangs- und dem Ausgangssignal der 
jeweiligen Testschleife ubertragen werden. Hierdurch redu- 
20 ziert sich der Programmieraufwand, da sich eine eindeutige 

Master-Slave-Konfiguration ergibt, wo Steuerungsbef ehle stets 
von dem Master-Baustein zu dem Slave-Baustein und Informatio- 
nen stets in umgekehrter Richtung gesendet werden. 

25 Ein ordnungsgemafier Datenaustausch mit der Zentraleinheit der 
speicherprogrammierbaren Steuerung erfolgt dadurch, dass ein 
Datenverarbeitungs-Baustein, vorzugsweise der die Auswertung 
ubernehmende, ttber eine Datenschnittstelle mit der zentralen 
Steuereinheit kommuniziert . Der erf indungsgemafie Peripherie- 

30 baustein kann in verschiedener Hinsicht zur Erhohung der Feh- 
lersicherheit einer speicherprogrammierbaren Steuerung ver- 
wendet werden. Bereits in einer Anlage mit nur einer Zentral- 
einheit und einem Kommunikationsbus wird die Sicherheit gegen 
einen Ausfall der Peripheriebaugruppe selbst erhoht. Durch 

35 Verwendung besonders sicherer Datenleitungen und/oder durch 
Einsatz besonders sicherer Datenformate und/oder durch eine 
Senkung der Datenubertragungsrate kann ebenfalls eine Erho- 
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hung der Sicherheit erzielt werden. Diese Kommunikation fin- 
det standardmafiig mit einem der beiden Datenverarbeitungs- 
Baugruppen in der erf indungsgemalien Peripheriebaugruppe 
statt. Uber diese Baugruppe kann die Zentraleinheit auch den 
aktuellen Fehlerstatus beider Kanalbaugruppen erfragen. Des- 
halb ist es von Vorteil, hierfiir diejenige Baugruppe zu ver- 
wenden, welche gleichzeitig auch den Testablauf steuert, da 
solchenfalls eine Datenubertragung von den Master-Baustein zu 
dem Slave-Baustein nicht erforderlich ist. 

(Jm die Ereignisse in dem erf indungsgemalien Peripheriebaustein 
fur die Zentraleinheit der betreffenden speicherprogrammier- 
baren Steuerung transparent zu machen, sollte von dem mit der 
Zentraleinheit der speicherprogrammierbaren Steuerung kommu- 
nizierenden Datenverarbeitungs-Baustein ein Inf ormationssig- 
nal uber den aktuellen Test- bzw. Fehlerstatus bereitgehalten 
werden. Damit die Zentraleinheit zu jedem Zeitpunkt eine In- 
formation uber den jiingsten Erkenntnisstand hinsichtlich der 
Funktionsf ahigkeit der erf indungsgemaJien Kanalbaugruppen er- 
•halten kann, sollte das jeweils aktuellste Testergebnis abge^ 
speichert werden, um bei jeder Anfrage seitens der Zentral- 
einheit der speicherprogrammierbaren Steuerung eine sofortige 
Antwort liefern zu konnen. Die Speicherung kann hierbei ent- 
weder in einem Register des die Tests ausftihrenden Datenver- 
arbeitungs-Bausteins vorgenommen werden, oder aber in einem 
externen Speicher. 

SchlieJilich entspricht es der Lehre der Erfindung, dass jeder 
Datenverarbeitungs-Baustein je eine eigene Datenschnittstelle 
zu je einer Datenverbindung aufweist, so dass die Verwendung 
zweier voneinander vollig unabhangiger Datenleitungen moglich 
ist. Diese Konf iguration ist vor allem fur die Verwendung bei 
speicherprogrammierbaren Steuerungen mit zwei voneinander un- 
abhangig betriebenen Kommunikationsbussen gedacht, welche je- 
weils mit einem von zwei, parallel betriebenen Zentraleinhei- 
ten kommunizieren. Solchenfalls ergibt sich ein maximaler 
Grad an Redundanz, wahrend andererseits die Systemstruktur 
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aulierst ubersichtlich ist, da jede der beiden Zentraleinhei- 
ten nur rnit jeweils einer Datenverarbeitungs-Baugruppe der 
erf indungsgemaiien Peripheriebaugruppe kommuniziert . Da ande- 
rerseits die beiden Datenverarbeitungs-Baugruppen des erfin- 
5 dungs gemaflen Peripheriebausteins miteinander in Verbindung 
stehen, kann notigenfalls auch ein „Uber-Kreuz-Betrieb" auf- 
recht erhalten werden, wobei bspw. bei Ausfall der primaren 
Kanalbaugruppe die Hauptzentraleinheit liber die Master- 
Datenverarbeitungs-Baugruppe die Slave-Datenverarbeitungs- 

10 Baugruppe steuert und damit auf die sekundare Kanalbaugruppe 
zugreift, oder bei Ausfall der Hauptzentraleinheit die Hilfs- 
zentraleinheit uber die Slave-Datenverarbeitungs-Baugruppe 
entsprechende Anweisungen an die Master-Datenverarbeitungs- 
Baugruppe erteilt und dadurch mit der primaren Kanalbaugruppe 

15 arbeiten kann. 

Weitere Merkmale, Einzelheiten, Vorteile und Wirkungen auf 
der Basis der Erfindung ergeben sich aus der nachf olgenden 
Beschreibung eines bevorzugten Ausf iihrungsbeispiels der Er- 
20 findung sowie anhand der Zeichnung. Hierbei zeigt: 

Fig. 1 ein Blockschaltbild einer speicherprogrammierbaren 
Steuerung mit hoher Fehlersicherheit; 

25 Fig. 2 ein Blockschaltbild einer speicherprogrammierbaren 
Steuerung mit hoher Verf ugbarkeit und hoher Fehlersicherheit; 

Fig. 3 den grundsatzlichen Aufbau eines erf indungsgemaJien 
Peripheriebausteins; sowie 

30 

Fig. 4 einen Schaltplan eines erf indungsgemalJen Periphe- 
riebausteins fur analoge Eingabe. 

Die in Fig. 1 wiedergegebene speicherprogrammierbare Steue- 
35 rung 1 urnfasst eine fehlersicher aufgebaute Zentraleinheit 2, 
an welche uber einen fehlersicher betriebenen Kommunikations- 
bus 3 n Komponenten 4 angeschlossen sind, von denen wenigs- 
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tens eine fehlersicher aufgebaut ist. Die f ehlersicheren Kom- 
ponenten 2-4 bilden eine luckenlose, sicherheitsrelevante 
Kette, wobei uber die f ehlersichere Komponente 4 Inf ormatio- 
nen erfasst, uber den Kommunikationsbus 3 mit hoher Sicher- 
5 heit an die Zentraleinheit 2 ubertragen werden, dort ver- 
kntipft werden, urn Steuerbef ehle zu erhalten, mit denen uber 
den Kommunikationsbus 3 und eine wiederum f ehlersichere Peri- 
pheriekomponente 4 eine Reaktion eines Aktuators in der Anla- 
ge veranlasst wird. Die hohe Fehlersicherheit der einzelnen 

10 Komponenten 2, 4 kann durch einen sehr sorgfaltigen Aufbau 
sowie durch standige Selbsttests mittels eines jeweils in 
diesen Bauteilen 2, 4 enthaltenen Mikroprozessors oder Mikro- 
controllers bewirkt werden. Besonders wichtige Bauteile der 
erf indungsgemalien, f ehlersicheren Peripheriebaugruppe 4 sind 

15 zusatzlich mehrfach ausgebildet , urn dadurch eine Redundanz 
fur die Situation eines Ausfalls zu schaffen. 

Demgegenuber weist die speicherprogrammierbare Steuerung 5 
eine besonders hohe Verfiigbarkeit auf, indem zusatzlich zu 

20 einer ersten f ehlersicheren Zentraleinheit ZE 1 eine dazu pa- 
rallelbetriebene Zentraleinheit ZE 2 vorgesehen ist, welche 
mit samt lichen n Komponenten 4 uber jeweils eigene, f ehlersi- 
chere Kommunikationsbusse 3 kommunizieren. Ferner kann ein 
Datenaustausch sowie eine Synchronisation der beiden Zentral- 

25 einheiten ZE 1, ZE 2 uber eine Koppelung 6 erfolgen. Auch bei 
dieser Anordnung ist zumindest eine der an die Zentraleinhei- 
ten 2 angeschlossenen Komponenten 4 als erf indungsgemalie, 
f ehlersichere Peripheriebaugruppe aufgebaut, damit die hohe 
Verfiigbarkeit dieser speicherprogrammierbaren Steuerung 5 

30 keine Schwachung im Bereich der Schnittstelle zu dem Prozess 
erf ahrt . 

In Fig. 3 ist ein Blockschaltbild einer erf indungsgemalien, 
f ehlersicheren Peripheriebaugruppe 4 in Form einer Analogein- 
35 gabeeinheit zu sehen, welche den prinzipiellen Aufbau wie 

auch die grundsatzliche Wirkungsweise einer erf indungsgemalien 
Baugruppe 4 deutlich macht. 
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Der mit der Anlage verbundene Analogeingang 7 ist uber einen 
Umschalter 8 mit dem Input 9 eines ersten Ubertragungskanals 
10 verbunden, dem letztendlich die Aufgabe obliegt, das Ana- 
logsignal 11 in ein Digitalsignal 12 zu transf ormieren, wel- 
5 ches eine Folge mehrerer Zahlendarstellungen der in kurzen 
Zeitabstanden abgetasteten Amplitude des Analogsignals 11 
darstellt. Dieses Digitalsignal 12 wird von einer ersten Da~ 
tenverarbeitungs-Baugruppe 13 in Form eines Mikrocontrollers 
eingelesen, und ggf . aufbereitet, bspw. durch Addition eines 

10 Of f setwertes, Multiplikation mit einem Skalierungsf aktor , 

oder auch durch Zusammenstellung eines die Amplitudeninf orma- 
tion enthaltenden und diese ggf. als solche kennzeichnenden 
Telegramms 14, welches sodann von einem Kommunikationsbau- 
stein 15 uber die Verbindung 16 und den f ehlersicheren Kommu- 

15 nikationsbus 3 zu der Zentraleinheit 2 der speicherprogram- 
mierbaren Steuerung 1, bzw. zu der Hauptzentraleinheit ZE 1 
der hochverftigbaren Steuerung 5 iibertragen wird. 

Da der Ubertragungskanal 10 aufgrund der notwendigen Signal- 
20 umsetzung und der dafiir benotigten, aktiven Bauteile eine 
nicht verschwindende Ausf allwahrscheinlichkeit aufweist, 
sieht die Erfindung einen weitgehend identischen, zweiten 
Ubertragungskanal 17 vor, dessen analoger Eingangsanschluss 
18 ebenfalls uber einen Umschalter 19 an den Analogeingang 7 
25 des erf indungsgemafien Peripheriebausteins 4 anschlielibar ist. 
Das von dem zweiten Ubertragungskanal 17 in eine binare Im- 
pulsfolge 20 gewandelte Analogsignal 11 wird einer an dem 
Ausgang 20 des zweiten Ubertragungskanals 17 angeschlossenen, 
zweiten Datenverarbeitungs-Baugruppe 21 zugeleitet, welche 
30 die notwendigen Aufbereitungsschritte durchfuhrt, urn normier- 
te Digitalwerte zu erhalten, welche bei gleichzeitigem Be- 
trieb der beiden Obertragungskanale 10, 17 im Idealfall iden- 
tisch mit den von der ersten Datenverarbeitungs-Baugruppe 13 
erzeugten Werten sein sollten. 

35 

Die solchermaJien in der zweiten Datenverarbeitungs-Baugruppe 
21 erhaltenen, normierten Werte werden an einen beschreib- 
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und lesbaren Speicherbaustein 22 ubertragen 23 und kSnnen von 
dort iiber einen weiteren Anschluss 24 dieses Speicherbau- 
steins 22 von der ersten Datenverarbeitungs-Baugruppe 13 bei 
Bedarf gelesen 25 werden. Somit kann in der ersten Datenve- 
5 rarbeitungs-Baugruppe 13 ein Vergleich der beiden Ergebnisse 
der beiden Ubertragungskanale 10, 17 vorgenommen werden, und 
sobald hierbei grofiere Abweichungen auftreten, liegt zweifel- 
los bei mindestens einer Kanalubertragungsbaugruppe 10, 17 
ein Fehler vor. 

10 

Die Steuerung 33 des ersten Ubertragungskanals 10 ist wie 
auch die Betatigung 35 des ersten Umschalters 8 der ersten 
Datenverarbeitungs-Baugruppe 13 zugewiesen, wahrend die ent- 
sprechenden Funktionen 34, 36 fur den zweiten Ubertragungska- 
15 nal 17 und den zweiten Umschalter 19 von der zweiten Daten- 
verarbeitungs-Baugruppe 21 ubernommen werden. 

Ferner kann auch an der zweiten Datenverarbeitungs-Baugruppe 
21 ein eigener Kommunikationsbaustein 26 angeschlossen 27 
20 sein, um iiber den dortigen Ausgang 28 iiber den daran ange- 

schlossenen Kommunikationsbus 3 mit der Hilf s-Zentraleinheit 
ZE 2 kommunizieren zu konnen. 

Bei Auftreten einer Fehlfunktion, welche die Datenverarbei- 
25 tungs-Baugruppe 13 feststellt, kann ein entsprechendes Sta- 
tusregister gesetzt werden, so dass bei einer Anfrage der 
Zentraleinheit ZE, ZE 1 dieser Fehlerzustand weitergemeldet 
wird, oder die Datenverarbeitungs-Baugruppe 13 kann von sich 
aus eine entsprechende Fehlermeldung an die betreffende Zent- 
30 raleinheit ZE, ZE 1 absenden. Daruber hinaus kann die Infor- 
mation iiber den Fehlerstatus auch in den beschreib- und les- 
baren Speicher 22 eingetragen werden, von wo sie iiber deren 
zweiten Anschluss 29 von der zweiten Datenverarbeitungs- 
Baugruppe 21 eingelesen und iiber deren Kommunikationsbaustein 
35 26 auch an die Hilf s-Zentraleinheit ZE 2 weitergemeldet wer- 
den kann. 
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Diese erste Betriebsart erlaubt zwar eine Feststellung, ob 
zumindest eine der beiden Kanalubertragungsbaugruppen 10, 17 
defekt ist, jedoch kann bei einer f estgestellten Abweichung 
nicht ohne weiteres eine Aussage dariiber getroffen werden, 
5 bei welcher der beiden Kanalubertragungsbaugruppen 10, 17 der 
Fehler zu suchen ist. Deshalb ist eine zusatzliche Testmog- 
lichkeit vorgesehen, wobei von einem Testkanal 30, der von 
der ersten Datenverarbeitungs-Baugruppe 13 steuerbar 31 ist, 
ein vorgebbares Analogsignal 32 erzeugt wird, welches durch 

10 die Umschalter 8, 19 wahlweise anstelle des Analogeingangsig- 
nals 7 der erf indungsgemaJien Peripheriebaugruppe 4 an den 
Eingang 9, 18 einer Kanaliibertragungsbaugruppe 10, 17 schalt- 
bar ist. Durch Rucklesen des Ausgangssignals 12, 20 des 
betref'f enden Kanals 10, 17 und durch Vergleich desselben mit 

15 dem Vorgabewert 31 fur das von dem Testkanal 30 ausgegebene 

Signal 32 kann festgestellt werden, ob die betreffende Kanal- 
iibertragungsbaugruppe 10, 17 einwandfrei funktioniert . 

Bevorzugt wird jeweils nur eine Kanaliibertragungsbaugruppe 
20 10, 17 gleichzeitig getestet, wahrend die jeweils andere mit 
ihrem Umschalter 8, 19 an das analoge Eingangssignal 7 ange- 
koppelt ist und somit fur einen liickenlosen Datenfluss Sorge 
zu tragen vermag. Sofern ein zweiter Kommunikationsbaustein 
2 6 vorgesehen ist, so kann der von dem jeweils den ordnungs- 
25 gemafien Betrieb sicherstellenden Ubertragungskanal 10, 17 in 
digitalen Signalen zur Verfiigung gestellte Wert 12, 20 iiber 
den gemeinsamen Speicher 22 zwischen den beiden Datenverar- 
beitungs-Baugruppen 13, 21 ausgetauscht und somit iiber beide 
Ausgange 16, 28 auf die jeweils angeschlossenen Kommunikati- 
30 onsbusse 3 und von dort auf beide Zentraleinheiten ZE 1, ZE 2 
tibertragen werden. 

Nach einem kurzen Zeitintervall wird sodann die Funktion der 
beiden Ubertragungskanale 10, 17 vertauscht, so dass nun der 
35 andere Ubertragungsweg 10, 17 getestet werden kann. Vorzugs- 
weise werden zwischen diesen Phasen voriibergehend beide Ober- 
tragungskanale 10, 17 parallel an dem Eingangssignal 7 be- 



WO 01/88711 



PCT/DE01/01885 



19 

trieben, so dass kein einziger Messwert verloren geht. Dies 
wird dadurch erreicht, dass stets einer der beiden Umschalter 
8, 19 mit dem Analogeingang 7 verbunden ist. Bei einem Um- 
schalten wird demnach immer zunachst eine Schalterstellung 
5 herbeigefiihrt, wo beide Umschalter 8, 19 mit dem Analogein- 
gang 7 verbunden sind, bis der jeweils andere von diesem Sig- 
nal gelost und an das Testsignal 32 angelegt wird. 

Eine hardwaremafiig aufgebaute Schaltung zur Realisierung der 
10 soeben beschriebenen Funktionen ist in Fig. 4 wiedergegeben. 

Man erkennt aus Fig. 4, dass der erf indungsgemafte Peripherie- 
baustein 4 insgesamt drei Analogeingange 7a - 7c aufweist, 
von denen jeder an jeden der beiden Ubertragungskanale 10, 17 

15 schaltbar ist. Jede Analogeingangsstuf e 7a - 7c ist mit einem 
Spannungsteiler aus zwei Widerstanden 37a - 37c und 38a - 38c 
aufgebaut. Diese Spannungsteiler 37, 38 sind einseitig mit 
einem Masseanschluss 3 9 verbunden, wahrend das jeweils andere 
Endpotential sowie der Mittelabgrif f als Spannungs- U und 

20 Stromeingange I, 7a - 7c ausgebildet sind, deren Nennspan- 
• nungs- bspw. Strompegel uber den betreffenden Spannungsteiler 
37, 38 in fur nachgeordnete Bausteine kompatible Sparinungspe- 
gel umgesetzt werden. Von einer Versorgungsgleichspannung 41 
von bspw. 24 Volt, die von einem Verstarker 42 hinreichend 

25 niederohmig zur Verfiigung gestellt wird, werden bspw. ange- 

schlossene Sensor-Stromquellen 40a - 40c von jeweils bspw. 20 
mA gespeist, die durch das sensierte Signal moduliert werden. 
Als relevante Eingangsspannung wird sodann je nachdem die 
Spannung an dem Spannungsteiler-Mittelabgrif f s 7a - 7c 

30 und/oder an dem betreffenden Spannungseingang U betrachtet 

und ggf . uber jeweils zwei Leitungen 43a - 43c bzw. 44a - 44c 
an die Schalter 8, 19 gelegt, von wo sie paarweise an die 
Eingange 9a, 9b bzw. 18a, 18b eines oder beider Ubertragungs- 
kanale 10, 17 geschalten werden konnen. 

35 

Da die Analogeingange 7a - 7c durch eine weiter unten zu er- 
lauternde Potentialtrennung 45 nicht mit der allgemeinen Mas- 
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se verbunden sind, kann die analoge Masse 39 sich in beliebi- 
ger Relation zu den Eingangsspannungen 7a - 7c einstellen. 

Die Spannungsdif f erenz uber den Widerstanden 37 wird demnach 
5 von dem betreffenden Ubertragungskanal 10, 17 als eine posi- 
tive Spannung aufgefasst und von einem Analog-Frequenz- 
Wandler 46, 47 in eine Impulsfolge 48, 49 mittlerer Frequenz 
transformiert . Diese Impulsfolge 48, 49 kann von je einem Op- 
tokoppler 50, 51 potentialf rei zu einem nachgeschalteten Zah- 

10 lerbaustein 52, 53 iibertragen werden, der jeweils die inner- 
halb eines vorgegebenen Zeitintervalls eintref f enden Impulse 
zahlt und damit ein Mali fur die Frequenz 48, 4 9 liefert. Die- 
ser Zahlerstand wird von der jeweils angekoppelten Datenve- 
rarbeitungs-Baugruppe 13, 21 jeweils nach Ablauf des vorgege- 

15 benen Zeitintervalls abgefragt, sodann wird der Zahler auf 

null zuruckgesetzt und wieder frei gegeben. Der frequenzpro- 
portionale Zahlerstand 12, 20 stellt somit ein binares Analo- 
gon zu dem aktuellen Spannungswert an dem jeweils durchge- 
schaltenen Analogeingang 7a - 7c dar und kann von der betref- 

20 f enden Datenverarbeitungs-Baugruppe 13, 21 ggf. normiert wer- 
den, urn einen -fur eine Weiterverarbeitung zuganglichen Digi- 
talwert zu erhalten. 

Indem der von dem Ubertragungskanal 17 gelieferte Digitalwert 
25 20 von der Datenverarbeitungs-Baugruppe 21 uber einen be- 

schreib- und lesbaren Speicher 22 der ersten Datenverarbei- 
tungs-Baugruppe 13 zur Verfugung gestellt wird, konnen mit 
dieser Anordnung gleichzeitig zwei unterschiedliche Eingangs- 
signale 7a, 7b in Digitalwerte umgewandelt und uber die Kom- 
30 munikationsbaugruppe 15 an eine Zentraleinheit ZE, ZE 1 wei- 
tergeleitet 16 werden. Andererseits ist es auch moglich, das- 
selbe Eingangssignal 7a - 7c an beide Obertragungskanale 10, 
17 parallel anzuschliefien 8, 19, und die solchenf alls erhal- 
tenen Digitalwerte 12, 20 von der Datenverarbeitungs- 
35 Baugruppe 13 bspw. durch Subtraktion miteinander vergleichen 
zu lassen, urn einen Anhaltspunkt dafiir zu erhalten, ob bei 
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einem der beiden Ubertragungskanale 10, 17 ein Fehler aufge- 
treten ist. 

Bei einer von Null abweichenden Eingangsspannung 7a - 7c ver- 
5 andert sich das Eingangssignal 9, 18 des betreffenden Uber- 
tragungskanals 10, 17, so dass sich die Frequenz 48, 49 und 
demnach das Zahlerausgangssignal 12, 20 entsprechend veran- 
dern. 

10 Die den Eingangen 7a - 7c nachgeschalteten Signalleitungen 
43, 4 4 weisen Uberspannungsschutzdioden 54 auf, urn einge- 
streute Storspitzen von den Eingangen 9, 18 der Ubertragungs- 
kanale 10, 17 f ernzuhalten. Die Schaltkreise 8a und 8b besit- 
zen integrierte Schutzdioden. 

15 

In der Zeichnung sind zwei unterschiedliche Arten von Schal- 
tern wiedergegeben: Bei den Schaltern 8a, 8b handelt es sich 
urn jeweils 1-aus-n-Multiplexer fur jeden der beiden Eingangs- 
anschliisse 9a, 9b des angeschlossenen Ubertragungskanals 10, 

20 wahrend die Schaltbausteine 19a - 19f als 2xEIN-Schalter auf- 
gebaut sind. Die jeweiligen Ansteuersignale fur diese Schalt- 
bausteine 8a, 8b bzw. 19a - 19f werden von den Datenverarbei- 
tungs-Baugruppen 13, 21 generiert und sind zusatzlich poten- 
tialmafiig aufgetrennt, so dass auch auf diesem Weg keine 

25 Storspannungen durch die Barriere 45 in den Datenverarbei- 

tungsbereich 13, 21 gelangen konnen. Urn einen ordnungsgemaJien 
Betrieb sicherzustellen, miissen von den Schaltern 8a, 8b je- 
weils die einander entsprechenden Eingange zu den Ausgangs- 
signalen 9a, 9b durchgeschalten werden. Andererseits muss bei 

30 der Schaltungsanordnung mit den Schaltern 19a - 19f sicherge- 
stellt werden, dass stets nur ein einziger Schalterbaustein 
19a - 19f durchgeschalten ist. 

Unter Beachtung dieser Schaltregeln konnen zu jedem der bei- 
35 den Obertragungskanale 10, 17 neben den drei Eingangssignal- 
anschlussen 7a - 7c auch drei Testsignale durchgeschalten 
werden. Am deutlichsten ist dies bei dem Obertragungskanal 17 
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zu erkennen, wo fur jeden Testmodus ein eigener Schalter 19d 
- 19f vorgesehen ist. Wird hiervon der Schalter 19d geschlos 
sen, so liegt an beiden Eingangen 18a, 18b des Analog- 
Frequenz-Wandlers 47 dieselbe Spannung an, namlich das analo 
ge Massepotential 39. Demzufolge muss bei diesem Testmodus 
stets ein Zahlerwert von null ausgelesen 20 werden. Ist dies 
nicht der Fall, so ist der getestete Kanal defekt. 

Uber einen weiteren Schalter 19e kann einerseits das Massepo 
tential 39 und andererseits eine fest vorgegebene Referenz- 
spannung 54 von bspw. 2,5 V gegenuber dem Massepotential 39 
zu den Eingangen 18a, 18b des Analog-Frequenz-Wandlers 4 7 
durchgeschalten werden, und sofern nicht ein dieser Span- 
nungs amplitude 54 entsprechender Wert aus dem Zahler 53 aus- 
gelesen 20 wird, so liegt ebenfalls ein Fehler vor. 

Schliefilich kann mit dem Schalter 19f eine kontinuierliche 
Uberpriifung des Ubertragungskanals 47 fur beliebige Zwischen- 
werte vorgenommen werden. Hierbei findet ein Test kanal 30 
Verwendung, der von der Datenverarbeitungs-Baugruppe 13 ange- 
steuert 31 wird. Kern dieses Testkanals bildet ein Frequenz- 
Analogspannungs-Wandler 55, der zwecks Potentialtrennung 45 
uber einen Optokoppler 56 mit einer Bitfolge beschickt wird, 
die von einem Schieberegister 57 ausgegeben wird. Das Schie- 
beregister 57 wird uber die Steuerleitung 31 von der Datenve- 
rarbeitungs-Baugruppe 13 geladen und sodann mit einer vorge- 
gebenen Frequenz getaktet, derart, dass samtliche Bits dieses 
Schieberegisters 57 in einem vorgegebenen Zeitintervall an 
dem Ausgang 58 abgegeben werden. Je nach Anzahl der Flanken 
der von dem Schieberegister 57 abgegebenen Impulsf olge 58 er- 
zeugt der Frequenz-Spannungs-Wandler 55 unterschiedliche Ana- 
logspannungen 32, welche sodann - bezogen auf das analoge 
Massenpotential 39 - uber den Schalter 19f an die Eingange 18 
des zu testenden Obertragungssignals 17 gelegt werden. Dort 
wird diese Spannung zuriickgewandelt und kann von der zweiten 
Datenverarbeitungs-Baugruppe 21 eingelesen 20 werden. Diese 
meldet das registrierte Ergebnis uber den Speicher 22 an die 
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erste Datenverarbeitungs-Baugruppe 13, welche den solcherma- 
lien am Ende der Schleife erhaltenen Wert mit dem ursprunglich 
an das Schieberegister 57 ausgegebenen Wert vergleicht und 
hieraus grofiere Abweichungen erkennen und ggf . einen Fehler 
5 feststellen kann. 

Mit demselben Testsignal 39, 54, 32 kann auch der erste Uber- 
tragungskanal 10 getestet werden, wobei ausschliefilich die 
Steuerung der Multiplexer 8a, 8b entsprechend vorgenommen 
10 werden muss . 

Bei einer weiter modif izierten Ausf uhrungsf orm kann auch die 
Eingangsbeschaltung etwa bis zu der Barriere 45 pro Periphe- 
riebaustein 4 insgesamt doppelt ausgefuhrt sein, um die Si- 

15 cherheit weiter zu verbessern. Solchenfalls kann bei der Zu- 
ordnung der Eingange 7a, 7b und 7c zu den Bausteinen 8, 19 
und/oder die Zuordnung der Spannungs-Frequenz-Wandler 4 6, 47 
zu den Datenverarbeitungs-Baugruppen 13, 21 bei den beiden 
Eingangsbeschaltungen tiber Kreuz erfolgen, so dass die beiden 

20 Eingangsbeschaltungen quasi antiparallel von den Datenverar- 
beitungs-Baugruppen 13, 21 angesteuert werden. 
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Patentanspriiche 

1. Peripheriebaustein (4) mit hoher Fehlersicherheit fur 
speicherprogrammierbare Steuerungen (1, 5), insbesondere Ana- 

5 logeingabe-Schaltung, gekennzeichnet durch we- 
nigstens zwei weitgehend identisch aufgebaute Kanale (10, 17) 
zur paralleien Signalein- und/oder -ausgabe, die im Bereich 
der Peripherieschnittstelle (7) parallelgeschalten und/oder 
parallelschaltbar sind, und durch wenigstens eine Datenverar- 
10 beitungs-Block (jiP oder [iC; 13) zum Testen der Kanale (10, 
17) ohne Unterbrechung des Datenf lusses . 

2. Peripheriebaustein nach Anspruch 1, gekenn- 
zeichnet durch eine zweite(n), Datenverarbeitungs- 

15 Block (jjP oder (iC; 21) zum Aufbereiten der zu iibertragenden 
Daten (11, 20) wahrend einer Testphase. 

3. Peripheriebaustein nach Anspruch 2, dadurch 
gekennzeichnet, dass jede der beiden Datenve- 

20 rarbeitungs-Blocke (13, 21) je einem Kanal (10, 17) zugeord- 
net ist und derart ausgebildet ist, dass er sowohl die Sig- 
nalaufbereitung wie auch den Test dieses Kanals (10, 17) 
ubernehmen kann. 

25 4. Peripheriebaustein nach Anspruch 3, dadurch 

gekennzeichnet, dass die beiden Datenverarbei- 
tungs-Blocke (13, 21) zwecks Inf ormationsaustausch miteinan- 
der gekoppelt sind (22, 23, 25) . 

30 5. Peripheriebaustein nach Anspruch 4, dadurch 

gekennzeichnet, dass die beiden Datenverarbei- 
tungs-Blocke (13, 21) uber bausteininterne Verbindungen (22, 
23, 25) miteinander gekoppelt sind. 

35 6. Peripheriebaustein nach Anspruch 5, dadurch 

gekennzeichnet, dass die beiden Datenverarbei- 
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tungs-Blocke (13, 21) iiber einen Speicher (22) gekoppelt 
sind, auf den sie beide Zugriff haben. 

7. Peripheriebaustein nach Anspruch 6, dadurch 
5 gekennzeichnet, dass die beiden Datenverarbei- 
tungs-Blocke (13, 21) an unterschiedlichen Ein-/Ausgangen 
(24, 29) des Speichers (22) angeschlossen (23, 25) sind 
(Dual-Port-RAM) . 

10 8. Peripheriebaustein nach einem der vorhergehenden Anspru- 
che, dadurch gekennzeichnet, dass bei 
einem Zweikanal-Eingabe-Baustein (4) ein zusatzlicher Ausga- 
bekanal (30), bei einem Zweikanal-Ausgabe-Baustein ein zu- 
satzlicher Einlesekanal vorgesehen ist, der mit jedem der 

15 beiden ubrigen Kanale (10, 17) koppelbar (8, 19) ist, urn eine 
Schleife iiber jeweils einen der beiden parallelen Kanale (10, 
17) zu bilden, so dass die ordnungsgemafie Verarbeitung eines 
Testsignals (32) uberprufbar ist. 

20 9. Peripheriebaustein nach Anspruch 8, dadurch 

gekennzeichnet, dass die Ansteuerung (31) des 
Testkanals (30) einem der beiden Datenverarbeitungs-Blocks 
(13) fest zugewiesen ist. 

25 10. Peripheriebaustein nach einem der vorhergehenden Ansprii- 
che, dadurch gekennzeichnet, dass die 
beiden Kanale (10, 17) auf der selben Platine angeordnet 
sind. 

30 11. Peripheriebaustein nach Anspruch 10, dadurch 

gekennzeichnet, dass wenigstens ein Datenverar- 
beitungs-Block (13, 21) zusammen mit den beiden Kanalen (10, 
17) auf der selben Platine angeordnet ist. 

35 12. Peripheriebaustein nach einem der vorhergehenden Anspru- 
che, dadurch gekennzeichnet, dass in 
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beiden Kanalen (10, 17), vorzugsweise auch in einem Testkanal 
(30), eine Potentialtrennung (45) vorgesehen ist. 

13. Peripheriebaustein nach einem der vorhergehenden Ansprti- 
5 che fur eine analoge Ein- und/oder Ausgabe, d a d u r c h 

gekennzeichnet, dass eine Signalumsetzung (4 6, 
47) zwischen analogen Strom- oder Spannungspegeln (9, 18) ei- 
nerseits und einem alternierenden Signal (Impulsf olge; 48, 
49) mit einer zu dem Analogsignal (9, 18) proportionalen Fre- 
10 quenz andererseits erfolgt. 

14. Peripheriebaustein nach Anspruch 12 in Verbindung mit 
Anspruch 13, dadurch gekennzeichnet, 
dass die Potentialtrennung (45) bei dem alternierenden Signal 

15 (48, 49) erfolgt, bspw. uber Optokoppler (50, 51). 

15. Peripheriebaustein nach Anspruch 13 oder 14, da- 
durch gekennzeichnet, dass das alternie- 
rende Signal (48, 49) einem Zahlerbaustein (52, 53) zugefiihrt 

20 ist, urn durch Zahlen der Impulse (48, 49) innerhalb eines 

festen Zeitintervalls einen zu der Frequenz des alternieren- 
den Signals (48, 49) proportionalen Digitalwert (12, 20) zu 
erzeugen. 

25 16. Peripheriebaustein nach einem der Anspriiche 13 oder 14, 
dadurch gekennzeichnet, dass das alter- 
nierende Signal (58) einem Baustein (57) .mit einem seriellen 
Ausgang entnommen wird, bspw. einem Schieberegister, welches 
in einem vorgegebenen Zeitintervall eine vorgegebene Anzahl 

30 von Ausgangsbits abgibt. 

17. Verfahren zum Betrieb eines Peripheriebausteins nach ei- 
nem der vorhergehenden Anspriiche, dadurch ge- 
kennzeichnet, dass stets ein Kanal (10, 17) zur 
35 Signalubertragung verwendet wird, wahrend der andere (17, 10) 
zu Test- und/oder Korrekturzwecken betrieben wird. 
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18. Verfahren nach Anspruch 17, dadurch g e - 
kennzeichnet, dass die Ausgangssignale der beiden 
Kanale (10, 17) voneinander subtrahiert werden, wobei das 
Subtraktionsergebnis mit wenigstens einem vorgegebenen Grenz- 

5 wert verglichen wird, um bei einer grolieren Abweichung einen 
Fehler zu erkennen. 

19. Verfahren nach Anspruch 17 oder 18, g e k .e n n - 
zeichnet durch einen Testmodus, wobei ein Kanal (10, 

10 17) zur Signalubertragung verwendet und der andere (17, 10) 
wahrenddessen einem Test unterzogen wird, indem ein Testsig- 
nal (31) ausgegeben und wieder eingelesen wird, und wobei der 
ausgegebene und der eingelesene (12, 20) Signalwert voneinan- 
der subtrahiert werden, und wobei schlielilich das Subtrakti- 

15 onsergebnis mit wenigstens einem vorgegebenen Grenzwert ver- 
glichen wird, um bei einer grolieren Abweichung einen Fehler 
zu erkennen. 

20. Verfahren nach Anspruch 19, dadurch g e - 

20 kennzeichnet, dass der Testmodus in kurzen Zeit- 
abstanden wiederholt wird, wobei jeweils zunachst ein Kanal 
(10, 17) und sodann der andere (17, 10) getestet (32) wird 
und der jeweils andere wahrenddem die Signalubertragung"* (7) 
ubernimmt . 

25 

21. Verfahren nach einem der Anspruche 17 bis 20, da- 
durch geke'nnzeichnet, dass ein Daten- 
verarbeitungs-Baustein (13) die Auswertung der Testergebnisse 
(Vergleich der Ausgangssignale beider Kanale bzw. des einge- 

30 lesenen mit dem ausgegebenen Testergebnis) Ubernimmt. 

22. Verfahren nach Anspruch 21, dadurch ge- 
kennzeichnet, dass ein Datenverarbeitungs- 
Baustein (13, 21), vorzugsweise der die Auswertung tiberneh- 

35 mende (13), uber eine Datenschnittstelle (15) mit der Zent- 
raleinheit (ZE, ZE1, 2) der speicherprogrammierbaren Steue- 
rung (1, 5) kommuniziert . 
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23. Verfahren nach Anspruch 22 , daciurch g e - 
kennzeichnet, dass von dern mit der Zentraleinheit 
(ZE, ZE1, 2) der speicherprogrammierbaren Steuerung (1, 5) 
kommunizierende (15) Datenverarbeitungs-Baustein (13) ein In- 

5 f ormationssignal uber den aktuellen Test- bzw. Fehlerstatus 
bereitgehalten wird. 

24. Verfahren nach einem der Anspruche 17 bis 23, d a - 
durch gekennzeichnet, dass jeder Daten- 

10 verarbeitungs-Baustein (13, 21) je eine eigene Datenschnitt- 
stelle (15, 26) zu je einer Datenverbindung aufweist, so dass 
die Verwendung zweier voneinander vollig unabhangiger Daten- 
leitungen (16, 3; 28, 3) moglich ist. 
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